Comment se conformer aux exigences RGPD pour les sites web (guide 2026)

Pour se conformer au RGPD, vous devez surveiller et justifier toutes les activités de « traitement des données » sur votre site web. Le RGPD ne se résume pas aux bandeaux de cookies ni aux utilisateurs qui cliquent sur « tout accepter ». Depuis sa création, l'objectif du RGPD était d'obliger les entreprises à collecter le minimum de données personnelles possible et à intégrer la protection de la vie privée dans les systèmes indépendamment du consentement.

Tout traitement de données qui n'est pas strictement nécessaire doit être justifié. Vous ne pouvez pas justifier ce que vous ne voyez pas :

• Les dizaines de sous-traitants qui s'exécutent sur votre site (chatbots, pixels publicitaires, traceurs analytiques)
• Les « traceurs de données » inattendus (bibliothèques de polices ou scripts de performance qui traitent des adresses IP ou des données de géolocalisation)
• Les scripts malveillants qui volent des données personnelles sans que les outils de sécurité serveur ne le détectent (comme lors de l'attaque contre British Airways)

En résumé

• Les articles 6, 13 à 15, 25, 28, 30 et 32 du RGPD comportent des exigences spécifiques aux sites web que les organisations doivent respecter.
• Un bandeau de cookies ou une Plateforme de Gestion du Consentement (CMP) aide à recueillir le consentement, mais ne garantit pas à elle seule la conformité au RGPD.
• La dérive de conformité RGPD survient lorsque de nouveaux scripts, plugins ou balises sont ajoutés et collectent des données sans que les équipes chargées de la protection de la vie privée ne s'en aperçoivent.
• Les scripts malveillants sur les sites web peuvent faire fuiter des données personnelles avant que le chiffrement et les outils de sécurité serveur n'entrent en jeu (les entreprises sont sanctionnées pour cela en vertu de l'article 32).
• Un site web pleinement conforme intègre un dispositif RGPD complet : infrastructure et contrôles internes via des outils comme Vanta, des CMP comme OneTrust, et la conformité côté client avec cside.

Exigences du RGPD applicables à votre site web (côté client)

    <tr>
      <td>
        <strong>Fournir des informations transparentes aux utilisateurs</strong><br>
        <span class="article-ref">(Articles 12–14)</span>
      </td>
      <td>
        <ul>
          <li>Politique de confidentialité avec des catégories de données et des finalités claires</li>
          <li>Validation que les informations divulguées correspondent au comportement réel de suivi du site web</li>
        </ul>
      </td>
    </tr>

    <tr>
      <td>
        <strong>Prévenir l'exposition des données avec des garanties appropriées</strong><br>
        <span class="article-ref">(Articles 30 &amp; 32)</span>
      </td>
      <td>
        <ul>
          <li>Surveillance continue du site web pour détecter toute collecte de données non autorisée</li>
          <li>Détection des injections de scripts et des modifications DOM risquées qui font fuiter des données</li>
        </ul>
      </td>
    </tr>

    <tr>
      <td>
        <strong>Documenter et superviser le traitement par des tiers</strong><br>
        <span class="article-ref">(Articles 25, 28 &amp; 30)</span>
      </td>
      <td>
        <ul>
          <li>ROPA indiquant quels sous-traitants reçoivent des données et où elles sont envoyées</li>
          <li>Registres organisés des DPA personnalisés ou standardisés</li>
          <li>Documentation des transferts de données entre régions</li>
        </ul>
      </td>
    </tr>
  </tbody>
</table>

Une méthode automatisée pour détecter les sous-traitants tiers consiste à utiliser une analyse gratuite du site web ou un outil de surveillance continue. Maintenez une liste de tous les fournisseurs qui traitent des données personnelles collectées via votre site et ajoutez-les à votre inventaire de DPA.

Comment cside aide avec les exigences de responsabilité envers les sous-traitants RGPD :

• Surveille les scripts tiers pour s'assurer que les sous-traitants ne collectent pas plus de données que ce que votre accord autorise.
• Découvre les « sous-traitants » sur votre site web en analysant les scripts actifs et leur comportement, maintenant ainsi votre inventaire de DPA à jour.
• Signale l'ajout de nouveaux scripts ou lorsque des fournisseurs existants modifient du code d'une manière qui change la façon dont ils traitent les données personnelles, invitant les équipes à réviser le DPA.
• Cartographie les transferts de données entre régions pour faciliter la documentation.

Comment se conformer à l'article 30 du RGPD : Registre des activités de traitement

Ce que l'article exige : Les responsables du traitement et les sous-traitants doivent tenir un registre écrit de toutes les activités de traitement des données personnelles. Ce registre (souvent appelé RoPA) doit inclure les données personnelles traitées, les raisons de leur traitement, leurs destinataires, leur lieu de stockage ou de transfert, les mesures de protection en place, et la durée de conservation.

En pratique : L'article 30 vise à démontrer aux régulateurs que vous comprenez les flux de données au sein de votre organisation. Cela inclut de savoir quels scripts collectent des données personnelles, quels fournisseurs les reçoivent, et si des transferts ont lieu en dehors de l'UE.

Les registres RoPA couvrent généralement toutes les activités de traitement organisationnelles, pas seulement ce qui se passe en ligne. Cela signifie documenter comment les équipes internes telles que les RH, l'informatique et le support client utilisent les données personnelles.

L'article 30 s'applique généralement uniquement aux entreprises de 250 salariés ou plus. Cependant, même les entreprises plus petites sont tenues de se conformer à cet article dans certaines circonstances.

Pour vous conformer sur votre site web :

• Qui, Quoi, Où : Tenez un registre de tous les scripts et outils tiers qui traitent des données personnelles. Notez le type de données qu'ils traitent et où ces données sont envoyées (surtout si elles quittent l'UE).
• Conservation : Documentez la durée de conservation de chaque catégorie de données et le moment où elles sont supprimées ou anonymisées.
• Sécurité : Enregistrez les mesures techniques ou organisationnelles qui protègent ces données, telles que le chiffrement, les contrôles d'accès ou l'activation basée sur le consentement.

Comment cside aide avec le registre des activités de traitement RGPD :

• Fournit des données vérifiées pour alimenter votre RoPA, donnant aux équipes chargées de la protection de la vie privée des preuves en temps réel des fournisseurs qui traitent des données sur votre site web.
• Génère des rapports prêts pour l'audit 24h/24 et 7j/7 de chaque action de script et transmission de données pour les examens réglementaires.
• Prouve que des mesures de sécurité côté client sont en place pour étayer la documentation ROPA sur la protection des données.
• Tableau de bord visuel des transferts de données entre régions pour faciliter la documentation ROPA au titre de l'article 30.

Modèle de ROPA

Consultez ce modèle de RoPA de l'ICO (Information Commissioner's Office) pour avoir un point de départ sur la façon de documenter ces activités.

Comment se conformer à l'article 32 du RGPD : Sécurité du traitement

Ce que l'article exige :

Les organisations doivent mettre en œuvre des mesures techniques et organisationnelles pour garantir la confidentialité et la disponibilité des données personnelles. Celles-ci incluent notamment le chiffrement, le contrôle d'accès des employés et sous-traitants, des tests réguliers, ainsi que des processus pour détecter, répondre et se remettre des incidents de sécurité.

En pratique :

Vous devez prouver que vos systèmes (tout au long du cycle de vie des données) sont conçus pour prévenir toute exposition non autorisée des données.

Sécuriser votre site web (le point de collecte) :

• Assurez-vous que les champs de formulaire, les pages de paiement et les flux KYC (permis de conduire, scans de passeport) sont protégés contre les injections JavaScript ou le keylogging.
• Surveillez les scripts tiers pour tout signe d'exfiltration de données ou de requêtes réseau non autorisées. En particulier ceux chargés depuis des domaines nouvellement ajoutés ou inconnus.
• Appliquez des contrôles de base avec CSP et SRI pour autoriser l'exécution des scripts approuvés. Pour les sites web plus importants, utilisez un outil de surveillance continue qui inspecte l'exécution JavaScript et les manipulations DOM en temps réel.
• Conservez des versions hachées des scripts approuvés afin de pouvoir revenir à une version sûre en cas de falsification ou d'activité réseau suspecte détectée.

Sécuriser les données en transit :

• Utilisez le chiffrement de bout en bout pour garantir que les données ne peuvent pas être lues lors de leur transit entre les systèmes.
• Sécurisez vos API et l'authentification. De plus en plus de sites web déploient du code généré par des LLM qui gère mal les clés API et les jetons d'accès.

Sécuriser les données en stockage :

• Réduisez l'identifiabilité dans la mesure du possible grâce à la pseudonymisation ou à la suppression des données personnelles identifiables.
• Utilisez un chiffrement robuste pour toutes les données personnelles stockées.

Sécuriser l'accès aux données pour les parties prenantes internes :

• Appliquez le principe du moindre privilège pour l'accès aux données personnelles.
• Organisez des formations à la sécurité et à la protection de la vie privée pour sensibiliser le personnel au phishing et à la bonne gestion des identifiants.

En ce qui concerne la réponse aux incidents :

• Détecter : Intégrez des plateformes SIEM pour la corrélation des événements et les alertes en temps réel. Déployez des outils de surveillance en temps d'exécution pour les systèmes côté client afin de détecter les signaux suspects et d'alerter votre équipe avant qu'une violation ne se produise.
• Alerter : Testez régulièrement vos mécanismes d'alerte pour vous assurer que les intégrations fonctionnent comme prévu. Effectuez occasionnellement des tests de pénétration côté client pour vérifier que les mécanismes d'alerte ne peuvent pas être supprimés.

En vertu de l'article 33 du RGPD, les responsables du traitement doivent notifier les autorités dans les 72 heures suivant la prise de connaissance d'une violation.

Comment cside aide avec la sécurité du traitement RGPD

• Protège les formulaires sensibles en détectant les injections JavaScript, les tentatives de keylogging ou la capture non autorisée de données
• Surveille les scripts tiers pour détecter tout signe d'activité suspecte, en signalant automatiquement les domaines nouvellement ajoutés et non approuvés, ou le code fournisseur modifié qui présente des risques RGPD
• Supervise l'exécution JavaScript et les modifications DOM susceptibles de faire fuiter des données personnelles
• Génère des journaux détaillés prouvant que des mesures de sécurité côté client sont en place pour répondre aux obligations de l'article 32 concernant l'« exposition non autorisée » de données personnelles.
• Protège contre les attaques côté client qui neutralisent les alertes de sécurité web

Avec plus de 380 000 attaques côté client en 2025, le code tiers est devenu l'une des plus grandes surfaces d'attaque pour les données personnelles. L'une des violations RGPD les plus significatives (l'incident British Airways, amende de 20 M€) a été réalisée via une injection de script sur leur site web.

Lorsque les utilisateurs remplissent des formulaires ou interagissent avec vos widgets de chat, leurs données personnelles peuvent être volées avant d'atteindre vos outils de chiffrement ou vos systèmes backend sécurisés. C'est pourquoi la sécurité côté client est un élément central de la conformité RGPD moderne.

Quels outils utiliser pour la conformité RGPD ?

La conformité RGPD ne se gère pas avec un seul outil. Elle nécessite plusieurs couches de contrôles, chacune conçue pour couvrir une partie différente du cycle de vie des données. Beaucoup de ces outils sont conçus pour prendre en charge plusieurs cadres de confidentialité et de sécurité (par exemple, RGPD, SOC 2, ISO 27001, PCI DSS), de sorte que la plupart des organisations disposent déjà de certains éléments de ce dispositif.

<compare-table data='{ "head_class": "!font-normal !bg-white", "cols": { "layer": { "title": "Couche de conformité" }, "covers": { "title": "Ce que cette couche couvre" }, "tools": { "title": "Exemples d'outils" }, "frameworks": { "title": "Cadres concernés" } }, "rows": [ { "layer": "Couche 1 : Sécurité et conformité de l'infrastructure", "covers": "Sécurise les systèmes back-end, l'infrastructure cloud, les contrôles d'accès et les processus internes", "tools": "Vanta, Drata, Sprinto", "frameworks": "SOC 2, ISO 27001, contrôles internes" }, { "layer": "Couche 2 : Gestion du consentement", "covers": "Recueille le consentement des utilisateurs, gère les préférences, et prend en charge les flux DSAR et les exigences de transparence", "tools": "OneTrust, Transcend, Ketch", "frameworks": "Consentement RGPD, DSAR, CPRA, autres lois sur la confidentialité" }, { "layer": "Couche 3 : Conformité côté client du site web", "covers": "Protège contre les violations de données sur le site web et surveille la façon dont les scripts s'exécutent, les données qu'ils collectent, et si le code tiers se comporte comme prévu.", "tools": "cside Privacy Watch", "frameworks": "RGPD Art. 28, 30, 32, PCI DSS 6.4.3 / 11.6.1, CCPA, lois américaines des États" } ] }'

Un bandeau de cookies suffit-il pour la conformité RGPD ? (non)

Limites des bandeaux de cookies

Un bandeau de cookies ou une CMP aide à recueillir et gérer les préférences des utilisateurs, mais ne garantit pas que ces préférences sont respectées ni que les données personnelles sont pleinement protégées. Pour être clair, les CMP sont un outil important qui doit être présent dans un dispositif de conformité RGPD. Mais une CMP seule ne couvre pas toutes les couches de la conformité RGPD d'un site web.

Limites des bandeaux de cookies :

• Des erreurs de configuration du code peuvent entraîner l'ignorance des préférences du bandeau de cookies (comme des intégrations incorrectes avec Google Tag Manager)
• La collecte de données peut toujours se déclencher en raison de déclencheurs codés en dur ou de scripts déployés en dehors du contrôle de la CMP
• Les CMP ne protègent pas contre les attaques côté client (injection JavaScript, formjacking) qui volent des données personnelles, pour lesquelles les entreprises peuvent être sanctionnées en vertu de l'article 32
• Les scripts tiers mettent fréquemment à jour leur code. Dans certains cas, la collecte de données est étendue au-delà de ce que les utilisateurs ont « accepté ».

Comment cside Privacy Watch élimine les risques RGPD sur les sites web

1. Visibilité continue sur le traitement des données du site web

Les équipes chargées de la protection de la vie privée ne peuvent pas justifier ni documenter un traitement qu'elles ne voient pas. cside surveille le comportement des scripts propriétaires et tiers dans le navigateur sur toutes les pages.

• Découvre tous les scripts, traceurs et tiers intégrés s'exécutant sur votre site
• Montre quelles données personnelles sont accédées, transmises ou exposées à l'exécution
• Alerte les équipes lorsque de nouveaux scripts ou fournisseurs sont introduits et peuvent nécessiter une révision, des modifications du DPA ou du ROPA

2. Application du consentement et du traitement licite

Le consentement n'a de valeur que s'il est appliqué à l'exécution. cside vérifie que les scripts respectent les choix de consentement et les bases légales à mesure que votre site web évolue.

• Détecte les scripts qui se déclenchent avant le consentement ou en dehors des catégories approuvées
• Signale la sur-collecte par des scripts, plugins ou code tiers
• Valide que le traitement s'effectue dans le cadre du consentement déclaré et des finalités légales

3. Supervision et documentation des sous-traitants tiers

Les scripts tiers agissent comme des sous-traitants au sens du RGPD. Les scripts sont par nature dynamiques, leur comportement peut donc changer sans préavis. cside aide les équipes à maintenir une supervision prête pour l'audit.

• Surveille les modifications du code fournisseur qui élargissent la collecte de données
• Identifie les sous-traitants ultérieurs (scripts de quatrième partie) et les transferts de données inattendus
• Prend en charge la documentation RoPA et DPA avec des données vérifiées en temps réel
• Visualise les transferts de données entre régions pour accélérer la documentation.

4. Sécurité côté client et protection au titre de l'article 32

Les obligations de sécurité du RGPD s'appliquent également au point de collecte des données — le navigateur. cside protège contre les menaces que la sécurité serveur, les scanners de sites web et les outils d'infrastructure ne détectent pas.

• Détecte les injections JavaScript, le formjacking et la capture non autorisée de données
• Surveille les modifications DOM et les requêtes réseau suspectes

Génère des preuves que des garanties sont en place pour prévenir toute exposition non autorisée